최근 유행하는 BEC 공격, 돈 대신 데이터 노려

임원진인 것처럼 가장한 메일 보내 송금 및 송신 지시
지난 주와 주말에 주요 기업들 연속으로 당해

[보안뉴스 문가용] 최근 BEC 공격, 즉 사업 이메일 공격(business email compromise)이 늘어나고 있다. 이는 특히나 사업체로부터 직접적인 금전 이득을 취하는 공격을 지칭하는데, 최근 피셔들이 돈을 직접 노리는 대신 기업이 가진 데이터를 노리는 것으로 공격의 방향을 선회했다.

가장 흔한 BEC 공격은, 기업의 CEO나 중요 임원인 것처럼 가장해 재무부서나 예산 담당 직원에게 돈을 송금하라는 내용의 이메일을 보내는 것이다. 물론 이때 요구하는 금액은 엄청나며 받는 사람 입장에서는 정말로 고위 관리인이 보낸 것과 같다.

문제는 지금 미국에서는 세금을 정산하느라 전국이 바쁜, 이른바 세금의 시즌이고, 이에 맞춰 공격자들이 돈이 아닌 데이터를 노리기 시작했다는 것이다.

지난 주 스냅챗(Snapchat)에서 이런 종류의 사건이 발생했다. CEO인 것처럼 위장한 해커가 재무부에 이메일을 보내 세금처리와 관련해 전직, 현직 포함 급여대상자 전부의 명단을 보내라고 한 것이다. 이는 즉, 스냅챗 직원들의 신상명세를 노린 공격이었던 것.

지난 주말에는 알래스카의 통신사인 GCI에서 사고가 있었다. CFO로 위장한 해커가 세금환급자 명단을 요구했고, 담당부서 직원이 이에 속아 개인정보가 수두룩한 명단을 해커에게 발송한 것이다. 바로 다음 날에는 하드웨어 제조업체인 시게이트(Seagate)에서 똑같은 사건이 발생했다. CEO로 위장한 해커에게 천 명이 넘는 직원들이 정보를 발송한 것이다.

모든 개인정보가 사실상 이미 다 유출되었다고는 하지만 아직도 개인정보는 해커들에게 있어 군침 도는 먹잇감이다. 또한 시즌에 맞춰 공격 방식을 응용하는 해커들의 순발력도 눈에 띈다. CEO 등의 업무지시를 이메일로 받는 기업들의 특별한 주의가 요구된다.
[국제부 문가용 기자(globoan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다